Если взломали Apple ID, действовать нужно в такой последовательности: сменить пароль, выйти со всех чужих устройств, проверить список покупок, а уже потом разбираться с возвратом денег. Паника на этом этапе только тратит время, пока доступ к аккаунту ещё частично в чужих руках.

Первые признаки, что аккаунт не только ваш

Если домашняя точка доступа или телефон на обслуживании у кого-то ещё, проверка стоит того, чтобы потратить пять минут даже без явных симптомов. Иногда взлом тихий: злоумышленник не меняет данные входа, а просто пользуется чужим балансом или открывает подписки, которые остаются незаметными до первого списания.

Обычно это письма о входе с незнакомого устройства, покупки в App Store, которых вы не делали, смена e-mail или номера телефона без вашего участия, либо просто невозможность войти со старым паролем. По опыту клиентов магазина, чаще всего первым сигналом становится именно письмо о чужой покупке или подписке.

Что менять первым делом

Если устройство само предлагает слабый или часто используемый пароль, это сигнал заранее. Правило простое: пароль Apple ID не должен совпадать ни с одним другим паролем из ваших сервисов, потому что база одного взломанного сайта рано или поздно утекает в сеть и проверяется автоматически на других сервисах, включая Apple.

Пароль меняется на appleid.apple.com или прямо на устройстве через Настройки → имя → Пароль и безопасность. Новый пароль не должен повторять старый и пароли от других сервисов: если взломали через утечку с другого сайта, тот же пароль в Apple ID снова станет дырой.

Дальше стоит заглянуть в список устройств в тех же настройках профиля. Там видно каждое устройство, привязанное к аккаунту, и с любого незнакомого можно выйти одной кнопкой. Если двухфакторная аутентификация ещё не включена, самое время это сделать: без кода со своего номера зайти в аккаунт со стороны уже не получится.

Проверка покупок и подписок

Полезно заодно пересмотреть список приложений, у которых есть доступ к данным аккаунта: Настройки → имя → Пароль и безопасность → Приложения, использующие Apple ID. Иногда давно забытое стороннее приложение сохраняет доступ годами, и именно через него утекают данные, а не через сам Apple ID напрямую.

История покупок смотрится в App Store → профиль → История покупок, либо на отдельной странице reportaproblem.apple.com, где видна каждая транзакция за последние месяцы. Там же, напротив подозрительной покупки, есть кнопка «Сообщить о проблеме», с которой и начинается запрос на возврат.

Заодно стоит открыть список подписок в Настройках → имя → Подписки. Нередко взлом используют не для разовой покупки, а чтобы незаметно оформить подписку, которая будет списываться месяцами, пока её не заметят.

Как вернуть деньги за чужие покупки

Готовиться к обращению стоит заранее: скриншот подозрительной транзакции, точная дата и сумма ускоряют рассмотрение, хотя и не гарантируют его сроки.

Apple рассматривает такие обращения через форму reportaproblem.apple.com, где нужно выбрать конкретную покупку и указать, что её не совершали. Решение по возврату принимает сама Apple, и срок рассмотрения заранее не гарантирован, поэтому честно: обещать быстрый возврат мы не можем, это зависит от конкретного случая.

Если доступ к аккаунту утрачен полностью и войти даже для подачи заявки нельзя, сначала восстанавливают доступ через процедуру на iforgot.apple.com, и уже потом разбираются с транзакциями.

Как уберечь аккаунт после того, как доступ вернули

Вернуть контроль над Apple ID мало, если дыра, через которую зашёл взломщик, осталась открытой. Стоит проверить три вещи по порядку: включена ли двухфакторная аутентификация, актуален ли контрольный вопрос и e-mail для восстановления, и нет ли в списке доверенных устройств чего-то незнакомого спустя пару дней после инцидента.

Клиенты магазина, которые уже проходили через взлом, чаще всего называют одну и ту же ошибку задним числом: пароль был простым и использовался ещё в двух-трёх местах. Второй по частоте промах, это выключенная двухфакторная аутентификация, из-за которой пароля одного оказалось достаточно для полного доступа.

Почему баланс через подарочную карту безопаснее привязанной карты

У привязанной банковской карты есть прямой доступ к счёту: при компрометации аккаунта с неё можно списать сумму, ограниченную только балансом карты и лимитами банка. У баланса, пополненного подарочной картой, потолок другой: максимум, что может уйти, это сумма уже внесённого баланса, а не произвольное списание со счёта.

Поэтому часть клиентов магазина после взлома сознательно убирает привязанную карту из Apple ID и переходит на оплату через баланс: подарочная карта Apple в этом случае выступает не разовой покупкой, а постоянным способом оплаты без риска для банковского счёта.

Как именно отвязать карту и переключиться на оплату с баланса, подробно описано в материале про отклонённый способ оплаты, который пригодится и при восстановлении аккаунта.

Способ оплаты отклонён в Apple ID: как убрать карту и платить с баланса покажет весь путь по шагам.

Что делать семье, если аккаунт общий

Если Apple ID участвует в семейном доступе, взлом организатора группы задевает не только его покупки: общие подписки и покупки детских аккаунтов тоже могут оказаться под вопросом. В этом случае после смены пароля стоит заглянуть в Настройки → имя → Семейный доступ и проверить, не появился ли там новый участник или не изменился ли способ оплаты для всей группы.

Если забыли пароль ещё до взлома и путаете это с компрометацией аккаунта, стоит сначала отделить одну проблему от другой.

Что делать, если забыли пароль от Apple ID: полный гид по восстановлению разбирает именно забытый пароль без признаков чужого доступа.

Что делать, если пароль не удаётся восстановить

Отдельно стоит проверить электронную почту, привязанную к Apple ID: если взломщик получил доступ и к ней, менять пароль нужно сразу в двух местах, иначе через час-другой он снова перехватит письмо с кодом восстановления и вернёт себе контроль над аккаунтом.

Иногда взломщик успевает сменить и e-mail, и номер для восстановления. Тогда единственный путь, это официальная форма восстановления доступа Apple, где потребуют подтвердить владение аккаунтом другими способами: датой создания, старыми паролями, привязанными устройствами. Процесс может занять от одного до нескольких дней, и ускорить его извне нельзя.